El grupo de ciberdelincuentes ShinyHunters volvió a atacar a la empresa Instructure, vulnerando los portales de acceso de Canvas en unas 330 instituciones educativas. Los atacantes desfiguraron las páginas de inicio para exigir un rescate, amenazando con filtrar datos de millones de estudiantes y personal antes del 12 de mayo. Instructure confirmó el robo de información y ha tomado el sistema fuera de línea para responder al incidente.



La banda de extorsión ShinyHunters ha vulnerado nuevamente al gigante de la tecnología educativa Instructure, esta vez explotando una vulnerabilidad para desfigurar los portales de inicio de sesión de Canvas de cientos de colegios y universidades.

Las desfiguraciones, que fueron visibles durante aproximadamente 30 minutos antes de ser retiradas, mostraban un mensaje de ShinyHunters asumiendo la responsabilidad de la brecha anterior de Instructure y amenazando con filtrar los datos robados si no se paga un rescate.

El mensaje advierte que Instructure y las escuelas tienen hasta el 12 de mayo para contactarlos y negociar el rescate, o los datos de los estudiantes serán filtrados.

"ShinyHunters ha vulnerado Instructure (otra vez). En lugar de contactarnos para resolverlo, nos ignoraron e hicieron algunos 'parches de seguridad'", dice la desfiguración.

"Si alguna de las escuelas en la lista afectada está interesada en evitar la publicación de sus datos, consulte con una firma de asesoría cibernética y contáctenos privadamente en TOX para negociar un acuerdo. Tienen hasta el final del día del 12 de mayo de 2026 antes de que todo sea filtrado", continuaba el mensaje.

Página de inicio de sesión de Canvas de la Universidad de Texas en San Antonio desfigurada

Se ha sabido que los actores de amenazas desfiguraron los portales de inicio de sesión de Canvas de aproximadamente 330 instituciones educativas, sustituyendo las páginas de inicio de sesión estándar por un mensaje de extorsión. Este mensaje de desfiguración también apareció en la aplicación Canvas.

Presumiblemente, la desfiguración fue causada por una vulnerabilidad en los sistemas de Instructure que permitió al actor de amenazas modificar los portales de inicio de sesión. Instructure ha retirado Canvas mientras responden al último ciberataque.

La semana pasada, Instructure reveló que estaba investigando un ciberataque después de que actores de amenazas afirmaran haber robado 280 millones de registros de estudiantes y personal vinculados a 8.809 escuelas, universidades y plataformas educativas que utilizan su sistema de gestión de aprendizaje Canvas.

La banda ShinyHunters dijo posteriormente que los datos robados incluían registros de usuarios, mensajes privados, datos de inscripción y otra información supuestamente recopilada a través de las funciones de exportación de datos y las API de Canvas.

Instructure confirmó que se robaron datos durante el ataque, pero que continúan investigando el incidente.

Se ha contactado repetidamente a Instructure con preguntas sobre el ataque, incluida la de hoy, y si tienen previsto notificar a los alumnos y al personal sobre la brecha de datos. Sin embargo, nuestros correos electrónicos no han recibido respuesta hasta el momento.

Canvas es uno de los sistemas de gestión de aprendizaje más utilizados en la educación superior y en entornos K-12, ayudando a las escuelas a gestionar el curso, las tareas, la calificación y la comunicación entre estudiantes y profesorado.

¿Quiénes son ShinyHunters?

El nombre ShinyHunters ha estado asociado durante mucho tiempo con numerosos actores de amenazas que han llevado a cabo brechas de datos desde 2018.

Este año, los actores de amenazas que utilizan el nombre ShinyHunters se han convertido en uno de los grupos más prolíficos en realizar robos de datos y ataques de extorsión contra empresas de todo el mundo.

Centrándose principalmente en Salesforce y otros entornos SaaS en la nube, los actores de amenazas están vinculados a un número creciente de brechas que afectan a empresas como Google, Cisco, PornHub y el gigante de las citas online Match Group.

La banda de extorsión suele vulnerar empresas de integración de terceros y utiliza tokens de autenticación robados para acceder a entornos SaaS conectados y robar datos de clientes.

Los actores de amenazas también son conocidos por realizar ataques de phishing de voz (vishing) dirigidos a cuentas de inicio de sesión único (SSO) de Okta, Microsoft y Google, haciéndose pasar por personal de soporte técnico para engañar a los empleados y lograr que introduzcan credenciales y códigos de autenticación multifactor (MFA) en sitios de phishing.

El grupo ShinyHunters también ha adoptado recientemente ataques de vishing de código de dispositivo para obtener tokens de autenticación de Microsoft Entra.

Tras robar credenciales y códigos de autenticación, los actores de amenazas secuestran cuentas de SSO para vulnerar servicios empresariales conectados como Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk y Dropbox.

Si bien los miembros de la banda ShinyHunters son responsables de numerosos ataques, también se sabe que operan como un grupo de "extorsión como servicio", realizando extorsiones en nombre de otros actores de amenazas a cambio de una parte de los pagos del rescate.

Ha habido numerosos arrestos vinculados al nombre de ShinyHunters, incluidos sospechosos relacionados con los ataques de robo de datos de Snowflake, brechas en PowerSchool y la operación del foro de hacking Breached v2.

A pesar de estos arrestos, las empresas siguen recibiendo correos electrónicos de extorsión firmados con el mensaje: “Somos ShinyHunters”.

Fuente:
BleepingComputer